信息安全技術(shù)第二章-認(rèn)證技術(shù)-展示頁
2025-02-14 04:52本頁面
【正文】 用回放攻擊獲得對(duì)一個(gè)服務(wù)器的訪問權(quán)或中斷服務(wù)器的運(yùn)行。 ? 服務(wù)器應(yīng)能夠限制非授權(quán)用戶的訪問并能夠認(rèn)證對(duì)服務(wù)的請(qǐng)求。 ? Modern Kerberos: 意指有三個(gè)組成部分的網(wǎng)絡(luò)之門的保衛(wèi)者。信息安全技術(shù) 許紅星 引言 ? Kerberos: part of Project Athena at MIT ? Greek Kerberos: 希臘神話故事中一種三個(gè)頭的狗，還有一個(gè)蛇形尾巴。是地獄之門的守衛(wèi)?！叭^”包括： ?認(rèn)證 (authentication) ?簿記 (accounting) ?審計(jì) (audit) 問題 ? 在一個(gè)開放的分布式網(wǎng)絡(luò)環(huán)境中，用戶通過工作站訪問服務(wù)器上提供的服務(wù)。 ? 工作站不能夠被網(wǎng)絡(luò)服務(wù)所信任其能夠正確地認(rèn)定用戶，即工作站存在三種威脅。 Kerberos要解決的問題 ? 所有上述問題可以歸結(jié)為一個(gè)非授權(quán)用戶能夠獲得其無權(quán)訪問的服務(wù)或數(shù)據(jù)。 ? Kerberos采用傳統(tǒng)加密算法。 信息系統(tǒng)資源保護(hù)的動(dòng)機(jī) ?單用戶單機(jī)系統(tǒng)。操作系統(tǒng)提供基于用戶標(biāo)識(shí)的訪問控制策略，并用 logon過程來標(biāo)識(shí)用戶。由一組工作站和一組分布式或中心式服務(wù)器組成。 ? 要求客戶端系統(tǒng)將它們自己向服務(wù)器作身份認(rèn)證，但相信客戶端系統(tǒng)負(fù)責(zé)對(duì)其用戶的識(shí)別。 Kerberos的解決方案 ?在一個(gè)分布式的 client/server體系機(jī)構(gòu)中采用一個(gè)或多個(gè) Kerberos服務(wù)器提供一個(gè)認(rèn)證服務(wù)。網(wǎng)絡(luò)竊聽者不能獲得必要信息以假冒其它用戶； Kerberos應(yīng)足夠強(qiáng)壯以至于潛在的敵人無法找到它的弱點(diǎn)連接。 Kerberos應(yīng)高度可靠，并且應(yīng)借助于一 個(gè)分布式服務(wù)器體系結(jié)構(gòu)，使得一個(gè)系統(tǒng)能夠備份另一個(gè)系統(tǒng)。理想情況下，用戶除了要求輸入口令以外應(yīng)感覺不到認(rèn)證的發(fā)生。系統(tǒng)應(yīng)能夠支持大數(shù)量的客戶和服務(wù)器。 ?采用 DES，精心設(shè)計(jì)協(xié)議，提供認(rèn)證服務(wù)。 ?口令以明文傳送會(huì)被竊聽。所有用戶均在 Kerberos服務(wù)器上注冊(cè)。所有服務(wù)器均在 Kerberos服務(wù)器上注冊(cè)。 ? 每一個(gè)轄區(qū)的 Kerberos 服務(wù)器與其它轄區(qū)內(nèi)的 Kerberos服務(wù)器之間共享一個(gè)保密密鑰。 Kerberos Version 5 ?改進(jìn) version 4 的環(huán)境缺陷 ?加密系統(tǒng)依賴性 ? Inter協(xié)議依賴性 ?消息字節(jié)次序 ? Ticket的時(shí)效性 ? Authentication forwarding ? Interrealm authentication Kerberos Version 5 ?改進(jìn) Version 4 的技術(shù)缺陷 ? Double encryption ? PCBC encryption ? Session key ? Password attacks Kerberos References 功能特性分析 ? 可信第三方 ?所需的共享密鑰分配和管理變得十分簡(jiǎn)單 ? AS擔(dān)負(fù)認(rèn)證工作，減輕應(yīng)用服務(wù)器的負(fù)擔(dān) ?安全相關(guān)數(shù)據(jù)的集中管理和保護(hù)，從而使攻擊者的入侵很難成功 ? Ticket ? AS的認(rèn)證結(jié)果和會(huì)話密鑰安全地傳送給應(yīng)用服務(wù)器 ?在生存期內(nèi)可重用，減少認(rèn)證開銷，提高方便性 功能特性分析 ? Ticket發(fā)放服務(wù) ?降低用戶口令的使用頻度，更好地保護(hù)口令 ?減輕 AS的負(fù)擔(dān)，提高認(rèn)證系統(tǒng)的效率 ?時(shí)間戳 ?防止對(duì) Ticket和 Authenticator的重放攻擊 ?以共享秘密（密鑰）為認(rèn)證依據(jù) 局限性分析 ? 重放攻擊 ? ticketgranting ticket具有較長(zhǎng)的生存期，很容易被重放 ? 對(duì)于有準(zhǔn)備的攻擊者， 5分鐘的生存期內(nèi)也可能進(jìn)行重放攻擊 ? 保存所有存活鑒別符并通過比較檢測(cè)重放攻擊的
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1